Browse by Tags
All Tags »
3.1-Security Development Lifecycle (SDL) (RSS)
Lungi da me scendere nell'arena delle guerre di religione (mi conoscete ormai, no?), ma un paio di articoletti letti in questi giorni mi spingono a riprendere il tema del confronto sugli aspetti di sicurezza tra Windows e il software Open Source . Questi
Read More...
La blogosfera "sicura" (nome scherzoso con cui identifico l'insieme di blog/e-magazines in tema sicurezza che cerco di leggere quotidianamente) ha già ampiamente battuto questa notizia, e quindi dovreste essere già tutti consapevoli
Read More...
L'emissione dei bollettini di questo mese, anche se risulta corposa con i suoi 8 bollettini che risolvono un totale di 10 vulnerabilità, si presenta con caratteristiche di insieme che non rendono lo scenario di rischio diverso dal livello medio (e
Read More...
Il mio post di ieri sulle problematiche di sicurezza di Apple e quello letto oggi su Punto Informatico , hanno riacceso l'idea che vi avevo lanciato nel mio post di Natale , quando vi promettevo che vi avrei parlato della inconfrontabilità tra i
Read More...
Chi di voi mi segue assiduamente (grazie!) può testimoniare che questo blog ha da sempre evitato fermamente di scivolare in facili guerre di religione sulla superiorità di questo o quel sistema operativo rispetto alle problematiche di sicurezza.
Read More...
Non so se ricordate quando vi ho segnalato l'avvio di SafeCode , a valle della scorsa RSA Europe Conference: apprendo ora da Michael Howard che è stato prodotto il primo whitepaper di questa iniziativa: "Software Assurance: An Overview of Current
Read More...
Chi mi legge da tempo probabilmente alla vista del titolo avrà avuto un deja-vu, e si sarà ricordato dello scorso post di confronto di vulnerabilità tra Windows Vista e i sistemi operativi precedenti e concorrenti . Lo stesso collega Jeff Jones che aveva
Read More...
Il report SANS Top-20 è storicamente una delle più importanti risorse nelle mani del professionista di sicurezza per apprendere l'evoluzione delle minacce dirette ai sistemi informatici. Deve il suo nome "Top-20" al fatto che quando è stato stilato nella
Read More...
Prima che mi dimentichi desideravo segnalarvi al volo un'altra notizia interessante emersa all'RSA Europe Conference: è nata una nuova iniziativa di collaborazione industriale di tipo non-profit, Software Assurance Forum for Excellence in Code (SAFECode)
Read More...
Alla fine di agosto è nato un blog di Microsoft mooolto interessante per i veri appassionati di sicurezza (come me e voi), dal nome suggestivo: " Hackers @ Microsoft ". L'ovvio intento è quello di condividere le esperienze più interessanti del team che
Read More...
Non lo faccio (solo) per farmi bello ... ;-), ma in questi giorni ho letto qualche articolo che conferma alcune delle considerazioni fatte nelle mie famose " 17 perle di security governance ", e ho pensato di condividerli per consolidare l'importanza
Read More...
Delle "17 perle" di cui vi ho appena detto, quella che ha suscitato maggiori domande di approfondimento nei 3 eventi in cui ho avuto modo di parlarne è stata appunto la 15a:
Sei sicuro della sicurezza del TUO codice ?
Il concetto di fondo che ho espresso riguardo a questo punto è esattamente quanto avevo già indicato al termine del mio post precedente, che vi riporto: con l'irrobustimento della piattaforma di base, chi attacca tenderà nel tempo a spostare la sua attenzione verso gli strati più alti a livello applicativo, sul codice custom, quello scritto dalle terzi parti o dal cliente stesso, dove sarà più facile ritrovare bug di sicurezza da sfruttare per un attacco, più mirato ma non meno pericoloso
Read More...
Se avete letto il mio precedente post, quando il mio collega Jeff Jones ha pubblicato il report simile sui primi 90 giorni di Windows Vista, sapete già come la penso sulle statistiche di confronto delle vulnerabilità tra i diversi sistemi operativi. Ma i risultati che emergono da questo nuovo report, stilato a 6 mesi esatti dalla disponibilità di Windows Vista, meritano la giusta attenzione. Come potete notare dalla prima delle quattro tabelle presenti nel report i numeri parlano davvero da soli:
Read More...
Un post da non perdere è quello in cui David LeBlanc spiega il tool di prossima pubblicazione MOICE, "Microsoft Office Isolated Conversion Environment". Lasciandovi il piacere di leggerlo per intero, richiamo in questa sede alcuni spunti interessanti che confermano diversi elementi di strategia di sicurezza già accennati nel mio blog. Cosa è MOICE ?
Read More...
Ricordate quando ho espresso la profonda soddisfazione di vedere le mie analisi di vulnerabilità riprese dal blog di Michael Howard ? Ebbene, durante il mio recente viaggio a Redmond quel contatto mi ha permesso di conoscere di persona Michael : abbiamo avuto modo di chiaccherare una mezz'oretta, in un brainstorming tanto rapido quanto illuminante. Ho provato a stuzzicarlo come se fossi un cliente, con le tipiche domande e perplessità che vedevo emergere nella blogosfera in quei giorni, sulla sicurezza di Windows Vista, l'SDL e la vulnerabilità sui cursori animati (corretta dal bollettino MS07-017).
Read More...